Política de privacidad
Última actualización: 25 de septiembre de 2026
Esta política explica cómo tratamos los datos personales de las personas que usan ia-etica.org, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
1. Responsable del tratamiento
| Responsable | Carlos Olite Ochoa de Olza — NIF 44642696H |
|---|---|
| Domicilio | Polígono Industrial Mocholi - 31110 Noáin (Navarra) |
| Contacto para privacidad | carlosolite@gmail.com |
2. Qué datos tratamos
| Categoría | Datos | Origen |
|---|---|---|
| Identificación y contacto del declarante | Nombre y apellidos, cargo (opcional), email profesional y nombre de la organización. | El propio usuario |
| Respuestas de la autoevaluación | Perfil de la organización, usos de IA declarados, niveles de madurez y resultado calculado. Se refieren principalmente a la organización, pero quedan asociados al declarante. | El propio usuario |
| Declaración responsable | Aceptación de la declaración, fecha y hora, y un identificador técnico derivado (hash) de la dirección IP como prueba de la declaración. | Generado al enviar |
| Contratación y facturación | Dominio del sello, identificador de cliente y de sesión de pago, importe, fecha, nombre fiscal, dirección de facturación y NIF/CIF si se facilita. No tratamos los datos de la tarjeta: los gestiona directamente Stripe. | El usuario y Stripe |
| Seguridad de la cuenta | Identificador de sesión (guardado solo como hash), códigos de verificación de un solo uso (guardados como HMAC), intentos fallidos y dominios con su código de verificación de propiedad. | Generado por el servicio |
| Datos técnicos | Dirección IP, navegador, cabeceras de origen (Origin/Referer) y registros del servidor, incluidos los generados por el widget del sello. | Navegación |
El servicio está dirigido a empresas y profesionales. No está destinado a menores de 14 años (art. 7 LOPDGDD) y no solicitamos categorías especiales de datos. Por favor, no introduzcas datos personales de terceros en los campos de texto libre.
3. Finalidades y bases jurídicas
| Finalidad | Base jurídica (art. 6.1 RGPD) |
|---|---|
| Realizar la autoevaluación, calcular y mostrarte el resultado, verificar tu email mediante códigos de un solo uso y mantener tu sesión. | Aplicación de medidas precontractuales a petición del interesado y ejecución del servicio solicitado (6.1.b). |
| Gestionar la contratación y el pago, generar el informe, emitir y mantener el sello y su verificación pública en el dominio registrado. | Ejecución del contrato (6.1.b). |
| Conservar la prueba de la declaración responsable y atender posibles reclamaciones. | Interés legítimo en acreditar el origen de las declaraciones y defender posibles reclamaciones (6.1.f). |
| Cumplir obligaciones contables y fiscales (facturación). | Obligación legal (6.1.c): Código de Comercio y normativa tributaria. |
| Garantizar la seguridad del servicio: límites de uso por IP, prevención de fraude y abuso, registros técnicos. | Interés legítimo en proteger el servicio y a sus usuarios (6.1.f). |
| Elaborar estadísticas agregadas y anonimizadas para mejorar la metodología. | Interés legítimo (6.1.f). Los datos se anonimizan antes de su análisis. |
| Analítica web con Google Analytics (cookies de analítica). | Consentimiento (6.1.a), que puedes retirar en cualquier momento desde «Configurar cookies». |
No enviamos comunicaciones comerciales sin tu consentimiento previo. Los emails que recibes son transaccionales (acceso al informe y avisos del servicio). Puedes oponerte a los tratamientos basados en interés legítimo escribiendo al contacto de privacidad.
4. Plazos de conservación
- Autoevaluaciones no contratadas: 12 meses desde su realización. Después se suprimen o se anonimizan.
- Autoevaluaciones contratadas, informe y sello: mientras el sello esté vigente y, después, durante el plazo de prescripción de las acciones derivadas del contrato.
- Datos de facturación: 6 años (art. 30 del Código de Comercio) o el plazo superior que exija la normativa tributaria.
- Sesiones y códigos de acceso: las sesiones caducan a los 30 días sin uso y los códigos a los 10 minutos; se eliminan automáticamente.
- Registros técnicos y de límites de uso: los contadores de límite por IP se eliminan en 1 hora; los registros del servidor, en un máximo de 30 días, salvo que sean necesarios para investigar un incidente.
5. Destinatarios y encargados del tratamiento
No cedemos tus datos a terceros salvo obligación legal. Contamos con estos proveedores:
| Proveedor | Servicio | Ubicación |
|---|---|---|
| IONOS Cloud S.L.U. | Alojamiento del sitio y de la base de datos (encargado del tratamiento). | España / Unión Europea |
| Resend, Inc. | Envío de los emails transaccionales (códigos de acceso y confirmaciones de pago). Trata tu dirección de email y el contenido del mensaje (encargado del tratamiento). | Estados Unidos (envío desde la región UE cuando está disponible) |
| Google Ireland Limited | Analítica web (Google Analytics mediante Google Tag Manager), solo si aceptas las cookies de analítica. Datos de navegación seudonimizados; sin nombre, email ni respuestas (encargado del tratamiento). | Irlanda (UE) / Estados Unidos |
| Stripe Payments Europe, Ltd. | Procesamiento de pagos. Stripe actúa como responsable independiente de los datos de pago que recoge en su pasarela, conforme a su propia política de privacidad. | Irlanda (UE) |
La verificación pública del sello muestra, a quien consulte el dominio registrado, si el sello está vigente, su fecha de caducidad, el nivel de madurez y la clasificación de riesgo declarados. No muestra el nombre del declarante, su email ni el detalle de las respuestas.
6. Transferencias internacionales
Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo:
- Stripe puede tratar datos en Estados Unidos. Estas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), en el que Stripe, Inc. está certificada, o en las cláusulas contractuales tipo aprobadas por la Comisión Europea.
- Resend, Inc., con sede en Estados Unidos, trata tu email para enviarte los mensajes del servicio. La transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea incluidas en su acuerdo de tratamiento de datos y, en su caso, en el Data Privacy Framework.
- Google (Analytics) puede tratar datos de navegación en Estados Unidos. La transferencia se ampara en el Data Privacy Framework, en el que Google LLC está certificada, y en las cláusulas contractuales tipo. Solo se produce si aceptas las cookies de analítica.
El alojamiento de la web y de la base de datos se realiza en la Unión Europea (IONOS).
7. Widget del sello en webs de clientes
Cuando un cliente muestra el sello en su web, el navegador de sus visitantes solicita el script y el estado del sello a ia-etica.org. Para prestar este servicio procesamos de forma técnica la dirección IP y las cabeceras Origin/Referer, que usamos solo para entregar el sello y comprobar que se muestra en el dominio autorizado. El widget no instala cookies, no crea perfiles y no rastrea a los visitantes. Recomendamos a los clientes mencionar este servicio en su propia política de privacidad.
8. Cookies y almacenamiento local
Usamos una cookie técnica de sesión, imprescindible para el servicio y exenta de consentimiento, y, solo si lo aceptas, cookies de analítica de Google Analytics para conocer de forma agregada el uso de la web. No usamos cookies publicitarias. Tienes todo el detalle (nombres, finalidades, duración y cómo cambiar tu elección) en la Política de cookies.
9. Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a carlosolite@gmail.com, indicando el derecho que ejerces y el email con el que usaste el servicio. Si tenemos dudas razonables sobre tu identidad, podremos pedirte información adicional. Responderemos en el plazo de un mes.
Si consideras que no hemos atendido correctamente tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
10. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo: cifrado HTTPS, credenciales fuera del directorio público, consultas parametrizadas a la base de datos, sesiones con cookie protegida cuyo valor solo se guarda cifrado mediante hash, verificación del email con códigos de un solo uso de validez limitada, verificación de la propiedad de los dominios, límites de uso por IP, protección frente a CSRF, política de seguridad de contenidos (CSP) y verificación de firma en las notificaciones de pago. Nunca te pediremos el código de acceso por teléfono ni por email.
11. Decisiones automatizadas
El resultado de la autoevaluación (índice, nivel y estado del sello) se calcula automáticamente a partir de tus respuestas. Se refiere a la situación declarada de la organización y no produce efectos jurídicos sobre ti como persona física en el sentido del art. 22 RGPD. Puedes solicitar la revisión humana del cálculo a través del contacto de privacidad.
12. Cambios en esta política
Podemos actualizar esta política para adaptarla a cambios legales o del servicio. Publicaremos siempre la versión vigente con su fecha y, si el cambio es relevante, lo comunicaremos por email a los clientes con sello activo.